Компания Check Point связывает атаки нулевого дня на VPN с группировкой вымогателей Qilin.

[zender]

Израильская компания Check Point, специализирующаяся на кибербезопасности, выпустила обновления безопасности для устранения критической уязвимости, затрагивающей развертывания удаленного доступа VPN и мобильного доступа, которая использовалась в атаках нулевого дня.


Данная уязвимость, отслеживаемая как CVE-2026-50751 , может быть использована неаутентифицированными удаленными злоумышленниками для обхода аутентификации в целевых VPN-сетях мобильного доступа/SSL, VPN-сетях удаленного доступа или межсетевых экранах Spark и установления удаленного VPN-соединения.


По данным компании, эта уязвимость в системе безопасности затрагивает только развертывания, настроенные на использование устаревшего протокола обмена ключами IKEv1, с шлюзами безопасности, которые принимают устаревшие клиенты удаленного доступа и не требуют сертификата машины для подключений.

Атаки начались 7 мая, резко усилились в начале июня и затронули лишь «несколько десятков» организаций по всему миру, при этом по меньшей мере один инцидент связан с операцией по распространению программы-вымогателя Qilin.


«Исследовательская группа Check Point выявила активную эксплуатацию уязвимости CVE-2026-50751, критической уязвимости обхода аутентификации, затрагивающей развертывания Check Point Remote Access VPN и Mobile Access, настроенные на использование устаревшего протокола обмена ключами IKEv1», — предупредила компания .


«На сегодняшний день наблюдаемые случаи эксплуатации ограничивались несколькими десятками целевых организаций по всему миру. В одном из случаев подтверждена активность после взлома, связанная с партнером программы-вымогателя Qilin. Клиентам, использующим протокол обмена ключами IKEv1, настоятельно рекомендуется немедленно установить доступные обновления безопасности».


Компания Check Point также поделилась мерами по смягчению последствий для клиентов, которые не могут немедленно обновить уязвимые системы, и посоветовала им отказаться от поддержки устаревшего клиента удаленного доступа, настроить глобальные свойства аутентификации VPN для удаленного доступа только на IKEv2, установить обязательную аутентификацию с помощью сертификата машины, а также включить IPS и загрузить подписи.


В ходе расследования уязвимости CVE-2026-50751 компания Check Point обнаружила вторую уязвимость ( отслеживаемую как CVE-2026-50752 ), которая затрагивает проверку сертификатов в устаревшем протоколе обмена ключами IKEv1 и может быть использована для атак типа «человек посередине» на VPN-соединения типа «сайт-сайт».


Хотя компания Check Point пока не обнаружила доказательств эксплуатации уязвимости CVE-2026-50752 в реальных условиях, она рекомендовала клиентам установить обновления для снижения потенциального риска.


Qilin появился в августе 2022 года как сервис-вымогатель (Ransomware-as-a-Service, RaaS) под названием "Agenda" и с тех пор взял на себя ответственность за гибель почти 400 жертв на своем сайте утечек в даркнете.


В список жертв этой банды также входят такие известные организации, как автомобильный гигант Yangfeng , Nissan , японская пивоваренная компания Asahi , издательский гигант Lee Enterprises , поставщик патологоанатомических услуг Synnovis и австралийская судебная служба штата Виктория .